web-dev-qa-db-ja.com

RouterOSに入力したのと同じゲートウェイから接続を応答させる方法は？

MikroTik RouterOS 6.23デバイスを使用していますが、私のネットワークは次のとおりです。

Router
  |
  |-- bridge1_LAN (wlan1 + ether1) (192.168.0.210) -- LAN (192.168.0.0/24)
  |   Here is where computers are. Those include some servers and some users.
  |   Users should be able to navigate always, and servers should
  |   be reachable online always.
  |
  |-- ether2_ADSL (192.168.2.2) -- ADSL router (192.168.2.1) -- WAN
  |   Users should navigate through here because there is no traffic limit.
  |   Incoming traffic should work exactly as with ether3_3G, as a temporary
  |   backup solution in case it fails.
  |
  |-- ether3_3G (192.168.3.2) -- 3G router (192.168.3.1) -- WAN
      This connection has a traffic limit, but faster upload rate, so it's
      mainly for incoming traffic. In case ether2_ADSL fails, this should be
      used as a temporary backup connection for outgoing traffic.

ここで、関連する構成：

/ip firewall mangle

# This rule is disabled because, when enabled, users cannot browse Internet
add action=mark-routing chain=prerouting connection-mark=no-mark disabled=yes \
    in-interface=ether2_ADSL new-routing-mark=to_ether2_ADSL passthrough=no

# This marks all traffic coming from ether3_3G to get out through there too
add action=mark-routing chain=prerouting in-interface=ether3_3G \
    new-routing-mark=to_ether3_3G passthrough=no

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether2_ADSL
add action=masquerade chain=srcnat out-interface=ether3_3G

# This is just an example web server listening in port 8069, for testing purposes
add action=dst-nat chain=dstnat comment="Test server" dst-port=8069 \
    in-interface=ether2_ADSL protocol=tcp to-addresses=192.168.0.156 \
    to-ports=8069
add action=dst-nat chain=dstnat comment="Test server" dst-port=8069 \
    in-interface=ether3_3G protocol=tcp to-addresses=192.168.0.156 \
    to-ports=8069

/ip route

# Outgoing traffic by routing-mark
add check-gateway=ping distance=10 gateway=192.168.3.1 routing-mark=\
    to_ether3_3G
add check-gateway=ping distance=10 gateway=192.168.2.1 routing-mark=\
    to_ether2_ADSL

# Outgoing traffic by default
add check-gateway=ping distance=20 gateway=192.168.2.1
add check-gateway=ping distance=30 gateway=192.168.3.1

この設定では、すべてのトラフィックはether3_3Gether2_ADSLが失敗した場合にのみ送信され、ether2_ADSLが失敗した場合のみ（ほとんどの場合）。

ここで問題は、着信接続がether2_ADSLを介してのみ機能することです。 ether3_3Gから着信する接続は常にsyn received状態。

ether3_3Gからの着信接続がターゲットサーバーに到達するように見えますが、応答はether2_ADSLを介して送信されます。そのため、TCPハンドシェイク実際、ether2_ADSLケーブルを物理的に取り外した場合、ether3_3Gへ/からのすべての接続が正常に機能し始めます。

どうすれば修正できますか？

routingload-balancingnatmikrotikrouteros
4
Yajo

Ether3_3G経由でルーティングされる返信にマークを付けることができるように、ether3_3Gからの接続にマークを付ける必要があります。

これは設定例です（テストされていません）

/ip firewall mangle
add action=mark-connection chain=prerouting comment="Mark connection so packets from 3G get returned to 3G properly" disabled=no in-interface=ether3_3G new-connection-mark=3g-packets passthrough=no
add action=mark-routing chain=prerouting connection-mark=3g-packets disabled=no new-routing-mark=3g-packets passthrough=no
add action=mark-routing chain=output connection-mark=3g-packets disabled=no new-routing-mark=3g-packets passthrough=no


/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.3.1 routing-mark=3g-packets

最初のルールはconnection-mark ether3_3Gインターフェイスから到着するパケット。

2番目と3番目のルールは、その接続マークに基づいて返信を「キャッチ」し、routing-markこれらの接続。

2番目のルールは、基本的に転送されるパケット用で、3番目のルールは、ルーター自体が送信する応答（pingなど）用です。

最後に、最後のスタティックルートは、ether3_3Gインターフェイスを介して適切なルーティングマークでパケットをルーティングします。

5
Cha0s